域控制器 DNS 最佳实践/子域中域控制器的实际注意事项

Question

我正在现有的 Active Directory 林中设置多个子域，并且正在寻找一些传统智慧/最佳实践指南，用于在子域控制器上配置 DNS 客户端设置和 DNS 区域复制范围。

假设每个域中有一个域控制器，并假设每个 DC 也是域的 DNS 服务器（为了简单起见），子域控制器应该仅针对 DNS 指向自己还是应该指向某种组合（主要 VS. 次要）本身和父域或根域中的 DNS 服务器？如果存在父>子>孙域层次结构（具有连续的 DNS 命名空间），应如何在孙 DC 上配置 DNS？

关于 DNS 区域复制范围，如果将每个域的 DNS 区域存储在域中的所有 DNS 服务器上，那么我假设需要存在从父级到子级的 DNS 委派，并且需要存在从子级到父级的转发器. 对于父>子>孙域层次结构，每个子项是否转发到直接父项区域的直接父项或根区域？委派发生在直接父区域还是来自根区域？

如果将所有 DNS 区域存储在林中的所有 DNS 服务器上，是否会使上述有关复制范围的问题没有实际意义？复制范围是否对每个 DC 上的 DNS 客户端设置有影响？

Answer 1

我宁愿使用两个服务器的单个域来实现冗余，也不愿在单个（故障点）服务器上使用两个单独的域。是什么促使您选择父/子域林？您可以只使用子域的 DNS 空间，因为您说过它是连续的，不需要 AD 域，除非您有安全边界问题。

根据我更好的判断，我将假设您每个域有两台服务器（总共四台）来回答这个问题- 只需减去您的情况的两台服务器。

选项1。

由于您希望将 DNS 保留在域的本地，因此父 DC 相互指向，子 DC 也相互指向。更简单的配置是使用在林范围内复制 DNS 区域的范围。

您将parent.local（或其他）作为顶级域，将child.parent.local作为子域。

AD 将在整个林中复制这两个域，从而使 DNS 解析变得简单。您将看到给定 DNS 服务器上的区域与区域重叠，但 Windows 会处理该问题。

选项 2。

另一种选择是不进行林范围复制，在这种情况下，我只需在子 DC 上配置转发器，将所有内容发送到父 DC DNS，但在父 DC 上，您需要为子子域创建委派向下。